リモートの Fedora 40 ホストには、FEDORA-2024-f1615b58e6 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    CVE-2024-47874のセキュリティ修正。

    ## Starlette 0.40.0 (2024 年 10 月 15 日)

    このリリースは、「multipart/form-data」リクエストによるサービス拒否 (DoS) を修正します。

    完全なセキュリティアドバイザリを表示できます:
    [GHSA-f96h-pmfr-66vw](https://github.com/encode/starlette/security/advisories/GHSA-f96h-pmfr-66vw)

    #### 修正済み

    - 「max_part_size」を「MultiPartParser」に追加し、「multipart/form-data」リクエストのパーツのサイズを制限します [fd038f3] (https://github.com/encode/starlette/commit/fd038f3070c302bff17ef7d173dbb0b007617733)。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Starlette 是一种异步服务器网关接口 (ASGI) 框架/工具包。在 0.40.0之前版本中，Starlette 将没有“filename”的“multipart/form-data”部分视为文本表单字段，并以字节字符串形式缓冲，而没有大小限制。这允许攻击者上传任意大型表单字段，并导致 Starlette 因过多的内存分配和复制操作而显着减慢速度，并且消耗越来越多的内存，直到服务器开始交换并逐渐停止，或者 OS 终止Server 进程中出现 OOM 错误。即使 Starlette 前面的反向代理强制实施了合理的请求大小限制，并行上传多个此类请求仍可能足以导致服务几乎无法使用。此拒绝服务 (DoS) 漏洞影响所有使用 Starlette（或 FastAPI）构建的接受表单请求的应用程序。Verison 0.40.0 修复了此问题。
    (CVE-2024-47874)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Starlette は、非同期サーバーゲートウェイインターフェイス（ASGI）のフレームワーク/ツールキットです。バージョン 0.40.0より前の Starlette は、「filename」のない「multipart/form-data」パーツをテキストフォームフィールドとして扱い、サイズ制限のないバイト文字列でバッファします。これにより、攻撃者が任意の大きなフォームフィールドをアップロードし、過剰なメモリ割り当てとコピー操作のために Starlette の速度を大幅に低下させ、サーバーがスワッピングを開始して完全に停止するまで、または OS がサーバープロセスを OOM エラーで表示します。Starlette の前のリバースプロキシによって合理的なリクエストサイズの制限が強制されている場合でも、このようなリクエストを複数同時にアップロードすると、サービスが実質的に使用不能になる可能性があります。このサービス拒否（DoS）の脆弱性は、フォームリクエストを受け入れる Starlette（または FastAPI）で構築されたすべてのアプリケーションに影響します。Verison 0.40.0 がこの問題を修正しています。
    (CVE-2024-47874)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Fedora 41 host has packages installed that are affected by a vulnerability as referenced in the FEDORA-2024-05dedb1a53 advisory.

    Security fix for CVE-2024-47874.

    ## Starlette 0.40.0 (October 15, 2024)

    This release fixes a Denial of service (DoS) via `multipart/form-data` requests.

    You can view the full security advisory:
    [GHSA-f96h-pmfr-66vw](https://github.com/encode/starlette/security/advisories/GHSA-f96h-pmfr-66vw)

    #### Fixed

    - Add `max_part_size` to `MultiPartParser` to limit the size of parts in `multipart/form-data`       requests [fd038f3](https://github.com/encode/starlette/commit/fd038f3070c302bff17ef7d173dbb0b007617733).

    ## FastAPI 0.115.2

    - https://github.com/fastapi/fastapi/releases/tag/0.115.2
    - https://github.com/fastapi/fastapi/releases/tag/0.115.1

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Starlette is an Asynchronous Server Gateway Interface (ASGI) framework/toolkit. Prior to version 0.40.0,     Starlette treats `multipart/form-data` parts without a `filename` as text form fields and buffers those in     byte strings with no size limit. This allows an attacker to upload arbitrary large form fields and cause     Starlette to both slow down significantly due to excessive memory allocations and copy operations, and     also consume more and more memory until the server starts swapping and grinds to a halt, or the OS     terminates the server process with an OOM error. Uploading multiple such requests in parallel may be     enough to render a service practically unusable, even if reasonable request size limits are enforced by a     reverse proxy in front of Starlette. This Denial of service (DoS) vulnerability affects all applications     built with Starlette (or FastAPI) accepting form requests. Verison 0.40.0 fixes this issue.
    (CVE-2024-47874)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 15 host has a package installed that is affected by a vulnerability as referenced in the SUSE- SU-2024:3719-1 advisory.

    - CVE-2024-47874: Fixed possible DoS via parts size in multipart/form-data requests (bsc#1231689)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 40 host has packages installed that are affected by a vulnerability as referenced in the FEDORA-2024-f1615b58e6 advisory.

    Security fix for CVE-2024-47874.

    ## Starlette 0.40.0 (October 15, 2024)

    This release fixes a Denial of service (DoS) via `multipart/form-data` requests.

    You can view the full security advisory:
    [GHSA-f96h-pmfr-66vw](https://github.com/encode/starlette/security/advisories/GHSA-f96h-pmfr-66vw)

    #### Fixed

    - Add `max_part_size` to `MultiPartParser` to limit the size of parts in `multipart/form-data`       requests [fd038f3](https://github.com/encode/starlette/commit/fd038f3070c302bff17ef7d173dbb0b007617733).

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Starlette 是一種非同步伺服器閘道介面 (ASGI) 架構/工具組。在 0.40.0版之前， Starlette 將沒有 `filename` 的 `multipart/form-data` 部分視為文字表單欄位，並在沒有大小限制的位元組字串中緩衝這些部分。這可讓攻擊者上傳任意大型表單欄位，並造成 Starlette 因過度記憶體配置和復製作業而大幅減慢速度，並且消耗越來越多的記憶體，直到伺服器開始交換並停止，或 OS 終止發生 OOM 錯誤的伺服器處理程序。即使 Starlette 前面的反向代理伺服器強制執行合理的要求大小限制，平行上傳多個此類要求可能足以使服務實際上無法使用。此拒絕服務 (DoS) 弱點會影響所有以接受表單要求之 Starlette (或 FastAPI) 構建的應用程式。Verison 0.40.0 可修正此問題。
    (CVE-2024-47874)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
209616	Fedora 40 : python-fastapi / python-openapi-core / python-platformio / など (2024-f1615b58e6)	Nessus	Fedora Local Security Checks	2024/10/24	2024/10/24	high
228373	Linux Distros 未修补的漏洞: CVE-2024-47874	Nessus	Misc.	2025/3/5	2025/3/5	high
228373	Linux Distros のパッチ未適用の脆弱性: CVE-2024-47874	Nessus	Misc.	2025/3/5	2025/3/5	high
211407	Fedora 41 : python-fastapi / python-openapi-core / python-platformio / etc (2024-05dedb1a53)	Nessus	Fedora Local Security Checks	2024/11/15	2024/11/15	high
228373	Linux Distros Unpatched Vulnerability : CVE-2024-47874	Nessus	Misc.	2025/3/5	2025/3/5	high
209331	openSUSE 15 Security Update : python-starlette (SUSE-SU-2024:3719-1)	Nessus	SuSE Local Security Checks	2024/10/19	2024/10/19	high
209616	Fedora 40 : python-fastapi / python-openapi-core / python-platformio / etc (2024-f1615b58e6)	Nessus	Fedora Local Security Checks	2024/10/24	2024/10/24	high
228373	Linux Distros 未修補弱點：CVE-2024-47874	Nessus	Misc.	2025/3/5	2025/3/5	high

検出

プラグインの検索

high

high

high

high

high

high

high

high